Partitionstabelle überschrieben

[TOMillr]

Wollte gerade von einer defekten Festplatte mit ddrescue unter Linux noch einige Daten auf eine zweite externe USB-Festplatte retten. Leider habe ich mich bei der Eingabe im Terminal aber offenbar vertippt und zu früh auf Enter gehauen, wodurch auf der Zielfestplatte (400GB FAT32, eine Partition mit gesamten Speicher) die Partition zerschossen wurde und durch eine leere 40GB NTFS Partition ersetzt worden ist.

Da ich mal davon ausgehe, dass sonst keine Daten auf die Festplatte geschrieben worden sind, besteht die Hoffnung, die alte Partition wieder irgendwie herzustellen? Lasse gerade mal testdisk über die Platte laufen. Ist es normal, dass dort auf dem Bildschirm die einzelnen Bereiche durchlaufen werden und es sehr lange dauert? Folgendes ist derzeit auf dem Bildschirm zu sehen:

Disk /dev/disk1 - 400 GB / 372 GiB - CHS 781422768 1 1                          
Analyse cylinder 90263393/781422767: 11%                    

Warning: Incorrect number of heads/cylinder 255 (NTFS) != 1 (HD)                
Warning: Incorrect number of sectors per track 63 (NTFS) != 1 (HD)              
  HPFS - NTFS                   63   78124094   78124032

 

[Ernst@at]

Wozu willst Du jetzt auf der defekten eine Wiederherstellung mit großartigen Scans veranstalten - das ist doch totaler Unsinn.

Wie weit in die falsche Richtung überschrieben wurde, muss doch aus dem ddrescue-Logfile ersichtlich sein.
Sichere den mal und lösche ihn.
Dann mach das ddrescue, diesmal in der richtigen Richtung, komplett fertig.
Wenn der Klon dann fertig ist, kannst Du daran die Wiederherstellungskünste von testdisk oder weiterer Rettungssoftware erproben...

 

[TOMillr]

Mit geht es zwischenzeitig ja auch gar nicht mehr um die eigentlich defekte Platte, sondern um die Backup-Festplatte auf der ich versehentlich die ursprüngliche Partition gelöscht habe.

 

[Ernst@at]

und wie weit ging das ddrescue - bis zu welchem Sektor?

 

[TOMillr]

Habe den Prozess direkt mit CTRL+C abgebrochen, weil ich ja meinen Fehler direkt bemerkt habe, als ich auf Enter gedrückt habe.

 

[Ernst@at]

So wie ich das sehe, scheint laut dem testdisk-scan ja der NTFS-Bootrecord auf Sektor 63, dem Partitionbeginn, in Ordnung zu sein.
Also brauchst Du eigentlich nur den Quick-scan laufen lassen, und dann die gefundene Partition als Primär markieren, und dann mit "Write" wieder den MBR herstellen

 

[CrazyLexx]

So wie ich das sehe, scheint laut dem testdisk-scan ja der NTFS-Bootrecord auf Sektor 63, dem Partitionbeginn, in Ordnung zu sein.

Leider war die Platte aber zuvor mit FAT32 formatiert. ddrescue hat die Festplatte also neu partitioniert, um dort dann die Kopie der beschädigten 40GB NTFS Platte abzulegen. Ich möchte also daher meine Backup-Platte wieder zurück zum ursprünglichen FAT32 Zustand bringen.

 

[Ernst@at]

Hab nicht ganz genau gelesen, dass die Größe der Platte 9 und die der Partition nur 8 Stellen lang ist - pardon
Dann bleibt nur
1. Um das nachfolgende Rescue-Programm nicht zu verwirren, mit testdisk den MBR-Eintrag der NTFS-Partition zu löschen ("D" für delete am Beginn der Zeile einstellen) und "Write" MBR. (Da können trotz Deiner schnellen Reaktion schon einige zehntausend Sektoren am Anfang überschrieben sein. Kein logfile davon?)
2. wenn Du ein Win x32 System hast, mit dem Recovery Wizard(freeware) von hier runtergeladen
oder wenn Du ein x64 System hast, mit Getdataback for FAT (Lizenz ca 50€, wenn Erfolg in der Testversion festgestellt werden kann)

 

[TOMillr]

mit testdisk den MBR-Eintrag der NTFS-Partition zu löschen ("D" für delete am Beginn der Zeile einstellen) und "Write" MBR.

An welcher Stelle bekomme ich die Option zum Löschen denn angezeigt?

2. wenn Du ein Win x32 System hast, mit dem Recovery Wizard(freeware)
oder wenn Du ein x64 System hast, mit Getdataback for FAT (Lizenz ca 50€, wenn Erfolg in der Testversion festgestellt werden kann)

Wie sieht es denn mit mit diesem Tool "PhotoRec" aus? Das läuft ja auch unter Linux/MacOS und ist zu dem noch OpenSource. Taugt das Teil was oder ist für meinen Fall überhaupt zu gebrauchen?

 

[Ernst@at]

Nach dem Quick Scan (oder auch Deeper Search) bekommst Du alle Partitions angelistet, die gefunden wurden. Nach Selektion einer der Zeilen mit Pfei-auf/ab kannst Du den links in jeder Zeile stehenden Buchstaben (*,P,E,L oder D) mit Pfeil-Links oder Pfeil-rechts-Taste ändern. In Deinem Fall auf D(delete), damit wird der nicht in den MBR zurückgeschrieben.

Wenn sich Deine vorherige FAT-Partition nach einem Quick-Scan zeigt, kannst Du die probehalber selektieren und mit P den Inhalt anzulisten versuchen. Falls da was sinnvolles rauskommt(was ich bezweifle) könntest Du die intakten Dateien auch mit C auf eine andere Platte rauskopieren, samt Ordnerhierarchien.

PhotoRec hab ich noch nie benutzt, glaube mich aber zu erinnern, dass damit alles gefundene in einen einzigen Ordner zusammengemanscht wird. Versuchen kannst Du es ja...

 

[TOMillr]

Wenn sich Deine vorherige FAT-Partition nach einem Quick-Scan zeigt, kannst Du die probehalber selektieren und mit P den Inhalt anzulisten versuchen. Falls da was sinnvolles rauskommt(was ich bezweifle) könntest Du die intakten Dateien auch mit C auf eine andere Platte rauskopieren, samt Ordnerhierarchien.

Bekomme jetzt nach einem stundenlangen Scan folgendes angezeigt:

Disk /dev/disk1 - 400 GB / 372 GiB - CHS 781422768 1 1                          
                                                                                
The harddisk (400 GB / 372 GiB) seems too small! (< 2331 GB / 2171 GiB)         
Check the harddisk size: HD jumpers settings, BIOS detection...                 
                                                                                
The following partitions can't be recovered:                                    
     Partition               Start        End    Size in sectors                
  HFS                    168164325 4312752904 4144588580 [?_?I>?]               
  HFS                    186789838 3626115896 3439326059 [?›?q?^YyXU^C???^S?5?^ 
  HFS                    238470044 1013020634  774550591                        
  HFS                    446562584 1003256040  556693457 [^Lh^CT?_@^W^_?Dc?^0^G]
  HFS                    464170840 4553403080 4089232241 [??[w?^C???~H???y??"?w?
  HPFS - NTFS            781417664 1562835265  781417602                                                                                                     
                                                                                
[ Continue ]                                                                    
HFS, 2122 GB / 1976 GiB

 

[Fiona]

Mache mal eine Diagnose mit folgender Geometrie;

Starte Testdisk, bestätige bei Log-Datei erstellen mit Enter, wähle deine Festplatte und bestätige mit Enter.
Bestätige auch bei Partition Table Typ Intel mit Enter.
Gehe jetzt auf das Menü Geometry.
Gehe dort auf Heads.
Gib dort 255 ein und bestätige mit Enter.
Gehe dann auf Sectors, gebe dort 63 ein und bestätige mit Enter.
Lasse SectorSize und den Rest in Ruhe.
Bestätige dann mit OK zum verlassen von Geometry.
Du darfst dann Testdisk nicht beenden da du dann die Einstellungen verlierst.
Gehe dann mit dem Pfeil auf Analyse bestätige mit Enter und setze mir einen Screenshot.
Bestätige bei Quick Search und setze mir auch einen Screenshot.

Du kannst da auch mal die Partitionen wenn die gefunden werden markieren, die Taste p drücken und schauen ob du deine Daten siehst.
Zurück kommst du mit q drücken.

Wenn keine Partition gefunden wurde;

Bestätige weiter bis du zum Menü kommst wo unten steht [Quit] [Search] [Write] und gehe mit dem Pfeil auf [Search] (tiefere Suche) und lasse es laufen.
Setze mir einen Screenshot
Du kannst da auch mal die Partitionen wenn die gefunden werden markieren, die Taste p drücken und schauen ob du deine Daten siehst.
Zurück kommst du mit q drücken.

Viele Grüße

Fiona

 

[TOMillr]

Für die ersten Schritte habe ich dann schon mal die ersten Screenshots gemacht. Weitere Bilder zu den gefundenen Partitionen kann ich dann erst nach Abschluss des Scans (dauert bei 400GB offenbar was länger) nachreichen.

 

[Fiona]

Du hättest bei Sectors den Wert 63 eingeben müssen.
Ist immer noch 1.
Wiederhole daher bitte nochmal die Diagnose.

Viele Grüße

Fiona

 

[TOMillr]

Hm, da bin ich offenbar mit ESC statt ENTER aus dem Menü gegangen.

 

[Fiona]

Gegenwärtig ist nur eine kelienre ca. 40 G, große NTFS-Partition in einer Partitionstabelle.
Lasse mal Quick Search und Deeper Search im Fall wenn Quick Search nichts findet laufen.
Überprüfe das Ergebnis und teile es mit.

Viele Grüße

Fiona

 

[TOMillr]

Dabei wird es sich um die neue Partition handeln, die versehentlich durch ddrescue auf der falschen Platte angelegt worden ist - die defekte HDD war nämlich 40GB NTFS.

Ergänzung (28. Juli 2010)

Gegenwärtig ist nur eine kelienre ca. 40 G, große NTFS-Partition in einer Partitio nstabelle.
Lasse mal Quick Search und Deeper Search im Fall wenn Quick Search nichts findet laufen.
Überprüfe das Ergebnis und teile es mit.

So, Quick Search ist abgeschlossen und mehr als die 40GB NTFS-Partition wird nicht angezeigt. Wie komme ich von da jetzt zur Deeper Search Option? Kann da im jetztigen Bildschirm keine entsprechende Angabe zu finden.

 

[Fiona]

Einfach mit Eingabe bestätigen.
Wenn du Testdisk geschlossen hast und Quik Search anfängt zu sichen, bestätige mit Eingabe.
Ist Stop.
Dannh nochmal mit Eingabe und einfach bei Deeper Search bestätigen.

Viele Grüße

Fiona

 

[TOMillr]

Ah, dann hätte ich ja lange suchen können. ;-) Der DS ist dann zwischenzeitig auch abgeschlossen und TestDisk listet nun noch eine zweite NTFS Festplatte - bei der ich dann aber überhaupt keine Idee habe, woher die jetzt kommen könnte. Im "ursprünglichen" Zustand war ja die gesamten 400GB als eine große FAT32 Partition angelegt.

Wie geht ich jetzt am besten weiter vor? Eine Partitionstabelle schreiben lassen und es dann mit einem Datenrettungstool mal versuchen?

 

[TOMillr]

Keine Hoffnung mehr auf Erfolg? Kann man nicht die Partitionstabelle manuell wieder auf FAT32 schreiben und dann sein Glück mit einem der Recoverytools versuchen?